Planeie o Azure RBAC como modelo padrão de controlo de acesso no Key Vault

A versão 2026-02-01 da API do Azure Key Vault e posteriores altera o modelo de controlo de acesso predefinido dos novos cofres para Azure RBAC, em linha com a experiência no portal do Azure. Tanto o Azure RBAC como as políticas de acesso continuam totalmente suportados. A versão da API 2026-02-01 está disponível nas regiões públicas do Azure, no Azure operado pela 21Vianet e no Azure Government.

Este artigo foca-se no comportamento de controlo de acesso para cofres de chaves novos e existentes. Para obter orientações sobre a descontinuação da API do plano de controlo e sobre como atualizar as aplicações, os scripts, os modelos, os SDKs, o CLI do Azure e o Azure PowerShell, consulte Atualizar a versão da API do Azure Key Vault que utiliza.

Comportamento de criação de novos cofres de chaves: Quando crias um novo cofre com a versão da API 2026-02-01 ou posterior, o modelo padrão de controlo de acesso é Azure RBAC (enableRbacAuthorization = true). Este padrão aplica-se apenas a operações de criação . Para usar políticas de acesso para novos cofres, defina enableRbacAuthorization para false no momento da criação.
Comportamento dos cofres de chaves existentes: Os cofres existentes mantêm o seu modelo atual de controlo de acesso, a menos que altere enableRbacAuthorizationexplicitamente . Usar uma versão 2026-02-01 da API ou posterior para atualizar um cofre não altera automaticamente o controlo de acesso. Os cofres onde enableRbacAuthorization está null (de versões antigas da API) continuam a usar políticas de acesso.

Importante

Todas as versões da API do plano de controlo do Key Vault anteriores a 2026-02-01 serão descontinuadas em 27 de fevereiro de 2027. Esta descontinuação é independente da migração do controlo de acesso. Para a lista de verificação de atualização de versão da API, consulte Atualizar a versão da API do Azure Key Vault que utiliza.

Importante

Atualize para CLI do Azure 2.90.0 ou posterior ou para Azure PowerShell 16.3.0 ou posterior, que suportam API versão 2026-02-01 e posteriores. O uso de versões da API anteriores a 2026-02-01 será suspenso após 27 de fevereiro de 2027.

Incentivamo-lo a migrar os cofres de chaves que atualmente utilizam políticas de acesso para o Azure RBAC para melhorar a segurança. Para mais informações sobre porque é recomendado Azure RBAC, veja Azure controlo de acesso baseado em funções (Azure RBAC) vs. políticas de acesso. Para orientações de migração passo a passo, consulte Migrar para o Azure RBAC a partir das políticas de acesso.

O que precisas de fazer

Se já conhece o modelo de controlo de acesso do seu cofre, salte para Determinar os seus próximos passos. Caso contrário, verifica primeiro a tua configuração atual .

Use este artigo para decidir como o controlo de acesso deve ser configurado:

Se criar novos cofres com a versão da API 2026-02-01 ou posterior, decida se mantém a predefinição do Azure RBAC ou se define explicitamente as políticas de acesso.
Se atualizar os cofres existentes para a versão 2026-02-01 da API ou posterior, tenha em conta que a atualização da versão da API não altera automaticamente o controlo de acesso.
Se quiser migrar cofres existentes das políticas de acesso para o Azure RBAC, use o guia dedicado de migração.

Importante

Para modificar a propriedade enableRbacAuthorization de um cofre de chaves, é necessário ter a permissão Microsoft.KeyVault/vaults/write (incluída em funções como Contribuinte e Proprietário). O Portal do Azure exige adicionalmente Microsoft.Authorization/roleAssignments/write (incluído em funções como Proprietário e Administrador de Acesso ao Utilizador) para assegurar que pode atribuir funções RBAC do Key Vault após a alteração e evitar o bloqueio. Para mais informações, consulte Habilitar permissões Azure RBAC em Key Vault.

Verifica a tua configuração atual

Verifica se a configuração de acesso do teu cofre está definida para Azure RBAC ou políticas de acesso. Verifique esta configuração através dos comandos CLI do Azure ou PowerShell.

Depois de verificar a sua configuração:

Se os seus cofres utilizarem Azure RBAC (enableRbacAuthorization = true), aceda a Cofres que utilizam Azure RBAC.
Se os seus cofres usam políticas de acesso (herdadas) (enableRbacAuthorization = false ou null), aceda a Cofres que usam políticas de acesso.

Verifica um único cofre

CLI do Azure
PowerShell

Use o comando az keyvault show para recuperar os detalhes do cofre:

az keyvault show --name <vault-name> --resource-group <resource-group>

Verifique a propriedade Ativada para a Autorização RBAC (enableRbacAuthorization) do cofre de chaves.

Use o cmdlet Get-AzKeyVault para obter informações do cofre:

Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

Verifique a propriedade Ativada para a Autorização RBAC (enableRbacAuthorization) do cofre de chaves.

Verifique múltiplos cofres por grupo de recursos

CLI do Azure
PowerShell

Use o comando az keyvault list para listar todos os cofres num grupo de recursos específico e verificar o estado da autorização RBAC:

# List all key vaults in the resource group and check Azure RBAC status
az keyvault list --resource-group <resource-group> --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Crie a seguinte função no PowerShell:

function Get-KeyVaultsFromResourceGroup {
    # Get all key vaults in the specified resource group (basic information)
    $keyVaults = Get-AzKeyVault -ResourceGroupName $resourceGroupName

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Nomeie o grupo de recursos para o qual quer executar a sua função:
```
$resourceGroupName = "<resource-group>"
```
Ligue a função Get-KeyVaultsFromResourceGroup para ver quais cofres do passo 2 do grupo de recursos têm políticas de acesso ativadas ou Azure RBAC ativado.

Verifique vários cofres na sua subscrição

CLI do Azure
PowerShell

Use o comando az keyvault list para listar todos os cofres na sua subscrição e verificar o estado da autorização RBAC deles.

# List all key vaults in the subscription and check Azure RBAC status
az keyvault list --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Crie a seguinte função no PowerShell:

function Get-KeyVaultsFromSubscription {
    # Get all key vaults in the subscription (basic information)
    $keyVaults = Get-AzKeyVault

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName
        $resourceGroupName = $keyVault.ResourceGroupName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Chamar a função Get-KeyVaultsFromSubscription para ver quais os cofres da subscrição que têm políticas de acesso em comparação com Azure RBAC ativado. Dependendo do número de cofres na sua subscrição, a função pode demorar mais de 10 minutos a ser executada.

Determine os seus próximos passos

Com base no seu modelo atual de controlo de acesso, siga as orientações apropriadas abaixo.

Mantenha as atualizações de versões da API separadas da migração de controlo de acesso

Se as suas aplicações, scripts, templates ou SDKs utilizarem uma versão da API do plano de gestão anterior a 2026-02-01, atualize-os independentemente de os cofres de chaves utilizarem RBAC do Azure ou políticas de acesso. Esta atualização da versão da API é separada da migração das políticas de acesso para o Azure RBAC. Para orientações sobre como identificar e atualizar as versões da API usadas pelas suas aplicações, scripts, templates e SDKs, consulte Atualizar a versão da API do Azure Key Vault que utiliza.

Vaults que utilizam Azure RBAC

Se os teus cofres de chaves já usam o Azure RBAC, não precisas de mudar o controlo de acesso. Os novos cofres de chaves criados com a versão da API 2026-02-01 ou posterior também utilizam o Azure RBAC por defeito, a menos que defina explicitamente enableRbacAuthorization como false.

Cofres que usam políticas de acesso

Se os seus cofres de chave usarem políticas de acesso (legacy) (enableRbacAuthorization = false ou null), decida se quer migrar para acesso baseado em funções (recomendado) ou continuar a usar políticas de acesso. Para mais informações sobre modelos de controlo de acessos, consulte Use Azure RBAC para gestão de acesso ao Key Vault e melhores práticas do Azure Key Vault.

Escolhe o teu caminho:

Azure RBAC (recomendado): Migre para Azure RBAC para maior segurança.
Políticas de acesso (legadas):Continue a usar políticas de acesso definindo enableRbacAuthorization como false ao criar novos cofres.

Migrar para o Azure RBAC (recomendado)

Aproveite esta oportunidade para aumentar o seu nível de segurança, migrando de políticas de acesso a cofre para o Azure RBAC. Para o procedimento de migração, veja Migrar para o Azure RBAC a partir das políticas de acesso.

Continuar a usar políticas de acesso

As políticas de acesso continuam a ser um modelo de controlo de acesso totalmente suportado.

Cofres existentes: Cofres que já usam políticas de acesso continuam a usar políticas de acesso, a menos que altere enableRbacAuthorizationexplicitamente.
Novos cofres: Quando cria novos cofres com a versão 2026-02-01 ou posterior da API, deve definir explicitamente enableRbacAuthorization como false para utilizar as políticas de acesso, conforme descrito nas secções seguintes.

Escolha um dos seguintes métodos com base no seu cenário:

Usando modelos ARM, Bicep, Terraform
Usando comandos Create Key Vault
Utilização de comandos Create Resource

Utilização de templates ARM, Bicep, Terraform

Ao criar novos cofres de chaves usando a versão 2026-02-01 ou posterior da API, defina enableRbacAuthorization para false em todos os modelos do Key Vault ARM, Bicep, Terraform e em chamadas de REST API para usar as políticas de acesso (legadas).

Utilização dos comandos Create Key Vault

Ao criar novos cofres de chaves usando a versão API 2026-02-01 ou posterior, deve especificar a configuração de políticas de acesso para evitar utilizá-las como predefinição no Azure RBAC.

Atualize os módulos CLI do Azure ou PowerShell para a versão mais recente.

CLI do Azure
PowerShell

Atualize o CLI do Azure para a versão mais recente. Para mais informações, consulte Como atualizar o CLI do Azure.

Use o comando apropriado para criar um cofre de chaves com políticas de acesso:

CLI do Azure
PowerShell

Use o comando create do az-keyvault e defina --enable-rbac-authorization false:

az keyvault create --name "testCreateTutorial" --resource-group "testResourceGroup" --enable-rbac-authorization false

Use o comando New-AzKeyVault e defina -DisableRbacAuthorization:

New-AzKeyVault -Name "testCreateTutorial" -ResourceGroupName "testResourceGroup" -Location "EastUS" -DisableRbacAuthorization

Utilização de comandos Create Resource

Quando criar novos cofres de chaves com a versão API 2026-02-01 ou posterior, defina enableRbacAuthorization para false, para que as políticas de acesso (legado) sejam usadas. Se não especificares esta propriedade, é definido por defeito como true (Azure RBAC).

CLI do Azure
PowerShell

Use o comando az resource create e defina "enableRbacAuthorization": false e --api-version "2026-02-01":

az resource create --resource-group $resourceGroup --name $vaultName --resource-type "Microsoft.KeyVault/vaults" --location $location --api-version "2026-02-01" --properties "{\"sku\": { \"family\": \"A\", \"name\": \"standard\" }, \"tenantId\": \"$tenantID\",\"enableRbacAuthorization\": false, \"accessPolicies\": []}"

Use o cmdlet New-AzResource e defina enableRbacAuthorization = $false e -ApiVersion "2026-02-01":

New-AzResource `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.KeyVault/vaults" `
    -ResourceName $keyVaultName `
    -Location $location `
    -ApiVersion "2026-02-01" `
    -Properties @{
        sku = @{ family = "A"; name = "standard" }
        tenantId = $TenantId
        enableRbacAuthorization = $false
        accessPolicies = @()}

Próximos passos

Comentários

Esta página foi útil?

Última atualização a 2026-09-18

Planeie o Azure RBAC como modelo padrão de controlo de acesso no Key Vault

O que precisas de fazer

Verifica a tua configuração atual

Verifica um único cofre

Verifique múltiplos cofres por grupo de recursos

Verifique vários cofres na sua subscrição

Determine os seus próximos passos

Mantenha as atualizações de versões da API separadas da migração de controlo de acesso

Vaults que utilizam Azure RBAC

Cofres que usam políticas de acesso

Migrar para o Azure RBAC (recomendado)

Continuar a usar políticas de acesso

Utilização de templates ARM, Bicep, Terraform

Utilização dos comandos Create Key Vault

Utilização de comandos Create Resource

Próximos passos

Comentários

Recursos adicionais